你每天打开的网站、公司用的系统、下单的电商平台——全球约70%的网站底层，都建立在一种叫PHP的编程语言上。微软、维基百科、百度、英国卫报，全都跑在它上面。然而就在2026年10月21日，这个撑起互联网的地基，被发现裂开了一道潜伏了整整14年的缝。更惊人的是，发现它的不是人，而是AI。
漏洞名叫“PHP2Shell”，由两个编号组成：CVE-2026-109618和CVE-2026-109619。评分高达9.2（危急级别），影响从PHP 5到PHP 8几乎全部版本。
翻译成大白话：黑客不需要你的账号密码，只要发一个特制的网络请求，就能直接控制你的服务器。改数据、删文件、偷用户信息、植入后门——全都可以。而且问题出在PHP引擎本身，发生在网站程序运行之前，等于你应用层做的所有安全防护，在这个漏洞面前全部失效。
打个比方：这就像你家大门锁得再严实，但整栋楼的地基突然多出一个谁都能钻的地下通道。
事情的起点在2026年8月。
OpenAI的安全联盟使用GPT-5.6 Sol模型，在“Patch the Planet”计划下识别出关键漏洞。几乎同一时间，安全公司Wiz用谷歌的Gemini 4 Argon，也独立发现了同样的问题。两套完全不同的顶级AI，从两条不同的路径出发，最终指向了同一个深埋14年的裂缝。
时间线非常紧张：
AI比攻击者更早发现了这些漏洞，为全球争取到了两个月的“防御窗口”。这在安全史上几乎是从未有过的。
按照计划，补丁本该在10月22日有序发布。但10月20日，漏洞细节提前泄露，攻击者已经开始行动。亚马逊的蜜罐系统在补丁发布前4天，就检测到了第一次真实攻击。
10月21日晚，日本各大平台纷纷紧急下线维护：Niconico（日本版B站）、pixiv（全球最大艺术社区）、宝可梦Sleep、碧蓝幻想……欧洲多国政府网站也一度暂停服务。日本国家网络安全办公室直接发通知：“请检查你的网站是否使用PHP，准备在补丁发布后尽快部署修复。”
美国CISA、FBI、NSA和英国NCSC同步发出紧急警告。
而PHP官方只说了一句话：“不存在完整的临时缓解措施，更新到修复版本是唯一安全的选择。”
你猜PHP背后有多少人在维护？不是一个庞大的工程师团队。
根据PHP基金会2025年度报告，背后只有11名签约的全职或兼职开发者，加上8名志愿理事会成员。而2025年全年的捐款总额，只有73万美元——支出还超过了捐款，等于在亏损运营。
全球70%网站的地基，靠11个人和不到500万人民币在硬撑。
这不是PHP独有的问题，这是整个互联网“免费搭便车”运转多年的后遗症。每家公司都在用，却很少有人愿意认真投钱维护。然后有一天，地基裂了。
第一，如果你或你的公司网站跑在PHP上，现在就去检查版本，更新到8.5.12、8.4.27、8.3.36或8.2.35。老版本没有官方补丁，能升级就尽快升级。
第二，AI正在同时加速攻防两端。攻击者用AI自动适配漏洞、量产攻击工具；防御者用AI扫描裂缝、抢在黑客前面。这场赛跑才刚刚开始。这次是防御者赢了，但下一次呢？
第三，作为内容创作者，这件事也值得你留意。很多公众号、企业官网、电商后台的底层都可能有PHP的影子。当你把一个安全事件写成文章、做成推送时，排版速度和质量同样重要。
做公众号排版的朋友应该都懂，信息越紧急，发布越要快。像这种安全警报类资讯，内容一出来就得赶紧排版推送。手工一段段调格式，至少半小时起步。
这时候可以试试小墨鹰编辑器——它成立于2014年，是最早做公众号排版的工具，至今已运营11年，服务超过500万公众号用户。支持AI快排，把Word文档或Markdown文件导入后，30秒自动完成全文排版，电脑端和手机小程序端都能用。平时领导发个文档过来让“排版一下推送”，微信小程序里直接从聊天记录选文件就能搞定，电脑还没开机，手机端已经排完了。
小墨鹰编辑器不是海报工具，是专做公众号文章排版的，有25万+素材模板、10000+套全文模板，覆盖政务、科技、教育、医疗等45大行业。SVG动效也够多，替换文字图片就能上手，新手不用学复杂参数。
微信公众号素材网小墨鹰编辑器使用方式：电脑浏览器打开 https://www.xmyeditor.com ，或微信搜索小程序“小墨鹰AI编辑器”，手机网页版和电脑端数据互通，三端可同时登录。
安全事件不会等人，排版工具顺手一点，你就能把最新消息更早推给读者。这次AI抢在黑客前面，希望你的下一篇推送，也能快人一步。
赞(0)
踩(0)
排版没烦恼
L4分享：
微信扫一扫分享
相关文章
事件快讯：AI 先黑客一步，撬开“PHP2Shell”10月21日，两个被合称为“PHP2Shell”的高危RCE漏洞（CVE-2026-109618、CVE-2026-109619）曝光，CVSS 9.2，影响PHP 5—8全
字里行间运营
9浏览 1天前
导读这是一场足以改写网络安全史的事件：两个由AI驱动的团队，先于黑客，挖出潜伏14年的PHP底层RCE漏洞组合“PHP2Shell”（CVE-2026-109618/109619），CVSS 9.2，影响PHP 5–8全线版本。
字里有料
10浏览 1天前
导读：一场从“地基”裂开的全球告警事件焦点：2026年10月21日，影响全球约70%网站底层的PHP曝出两枚高危RCE漏洞（CVE-2026-109618、CVE-2026-109619），合称“PHP2Shell”，CVSS v4.
文案轻舟
17浏览 3天前
一、全球七成网站的地基，裂开了一道缝如果你今天打开过新闻网站、刷过论坛、逛过电商平台，或者在公司内部系统里提交过一份工单，那么你大概率已经和PHP打过交道。全球约70%网站的编程语言底层，都是PHP。微软、维基百科、百度、英国卫报
晚风邮递员
16浏览 3天前
事件背景：从“PHP2Shell”到公众号生态的连锁风险2026年10月21日，两个被归类为CWE-824、CVSS 9.2的高危漏洞（CVE-2026-109618、CVE-2026-109619）被公开并紧急修复。这组漏洞被行
文叨
19浏览 4天前
一句话结论影响范围：全球约70%网站底层语言PHP曝出两枚14年未发现的高危漏洞（CVE-2026-109618/109619，合称“PHP2Shell”）危险等级：无需账号密码，黑客可发一条特制请求，直接在服务器上执行任意命
文案跳跳虎
18浏览 5天前
评论
*昵称：
*邮箱：
TOP.1
TOP.2
TOP.3
顶部
